Grundlagen Datenschutz

Transkript

1 Grundlagen Datenschutz Michael Bätzler TÜV Datenschutz Auditor Externer Datenschutzbeauftragter IHK xdsb Datenschutz Greschbachstraße 6a Karlsruhe Telefon: 0721/ Telefax: 0721/

2

3 Warum überhaupt Datenschutz?

4 Beispiel: Das Panopticon Jeremy Bentham ( ): Aufgrund des Konstruktionsprinzips werden sich zu jeder Zeit alle Insassen regelkonform verhalten, da sie jederzeit davon ausgehen mussten, beobachtet zu werden. Dies führt zu einer massiven Kostensenkung im Gefängnis- und Fabrikwesen, denn das Verhältnis zwischen effektiv geleisteter Überwachungsarbeit und erzeugter Angst, beobachtet zu werden, ist sehr effizient.

5 Grundzüge des Bundesdatenschutzgesetz Persönliche oder sachliche Verhältnisse: Es sind alle Informationen geschützt, die über die Bezugsperson etwas aussagen, also etwa über den Betroffenen selbst oder über einen auf ihn beziehbaren Sachverhalt. Beispiele für personenbezogene Daten: - Persönliche Grunddaten, z.b. Name, Anschrift, Geburtsdatum, Alter, Nationalität, Bankverbindung - Familiendaten, z.b. Daten über Angehörige - Daten über Wohnverhältnisse, z.b. Inhaber einer Sozial- oder Werkswohnung - Daten über Einkommen, Vermögen, Besteuerung - Daten natürlicher Personen in Verträgen - Werturteile, wie z.b. guter Kunde, schlechter Schüler - Scorewert der SCHUFA - Genetische und biometrische Daten

6 Datenschutz und die Motivation Datenschutz Geschützt: Natürliche Personen Gefahr: Verletzung von Persönlichkeitsrechten Datensicherheit Geschützt: Hard- und Software, Daten Gefahr: Verlust, Zerstörung, Mißbrauch durch Unbefugte

7 Tragende Grundsätze Verbotsprinzip mit Erlaubnisvorbehalt 4 Abs. 1 BDSG Grundsatz der Zweckbindung Personenbezogene Daten dürfen nur für festgelegte eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zweckbestimmungen nicht zu vereinbarenden Weise weiterverarbeitet werden. Vgl. 4 Abs. 3, 28 Abs. 1 S. 2 BDSG Grundsatz der Verhältnismäßigkeit Information muss zur Erreichung des Verwendungszwecks geeignet und erforderlich sein

8 Tragende Grundsätze Grundsatz der Datenvermeidung und Datensparsamkeit/ Systemdatenschutz So wenig wie möglich pb. Daten erheben, auch bei technischer Gestaltung der DV-Systeme ( 3a BDSG) Grundsatz der Transparenz Keine Datenverarbeitung hinter dem Rücken des Betroffenen Grundsatz der Direkterhebung, Publizität und Benachrichtigungs- und Auskunftspflichten Direkterhebungsgrundsatz 4 Abs. 2 BDSG: Personenbezogene Daten sind grundsätzlich direkt beim Betroffenen zu erheben

9 Tragende Grundsätze Zulässigkeit der Datenverarbeitung und Nutzung Grundnorm: 4 Abs. 1 BDSG - Verbot mit Erlaubnisvorbehalt Erlaubnis nur bei Einwilligung des Betroffenen Gesetzlicher Erlaubnisnorm

10 Tragende Grundsätze Einwilligung ( 4a BDSG) freiwillig, d.h. ohne Zwang und Täuschung Problem: Einwilligung des Arbeitnehmers informiert: insbesondere hinsichtlich des Zwecks der Datenerhebung nur auf den konkreten Fall bezogen Problem: Einwilligung in AGB grundsätzlich schriftlich Recht des jederzeitigen Widerrufs Besondere Form der Einwilligung bei sensiblen Daten gem. 4a Abs. 3 BDSG

11 Rechte von Betroffenen Benachrichtigung Auskunft Berichtigung, Löschung, Sperrung Widerspruchsrechte Dies sind unabdingbare Rechte des Betroffenen nach 6 Abs. 1 BDSG

12 Rechte von Betroffenen Sanktionen Ordnungswidrigkeiten: Bußgelder von bis zu Euro Straftaten: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe im Falle von Bereicherungs- oder Schädigungsabsicht: Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe

13 Der Datenschutzbeauftragte In der Privatwirtschaft gibt es zwei Kontrollorgane, die Einfluss auf die ordnungsgemäße Verarbeitung und Speicherung von Daten nehmen können: - Die Datenschutzaufsichtsbehörden (Bund und Land) - Der betriebliche Datenschutzbeauftragte (Selbstkontrolle der Unternehmen) Weiterhin kann auch ein Betroffener Einfluss nehmen, in dem er sein Recht auf Einsicht, Korrektur oder auch Löschung seiner Daten wahrnimmt.

14 Der Datenschutzbeauftragte Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten besteht wenn: Automatisierte Datenverarbeitung Zehn Mitarbeiter oder mehr verarbeiten personenbezogene Daten 4f I 4 BDSG Datenverarbeitung (DV) Datenverarbeitung auf andere Art Mindestens zwanzig Mitarbeiter manuell personenbezogene Daten verarbeiten 4f I 3 BDSG Auskunfteien, Adressverlage, Markt und Meinungsforschungsinstitute 4f I 6 BDSG

15 Der Datenschutzbeauftragte Unternehmen in denen neun oder weniger Personen personenbezogene Daten elektronisch verarbeiten - Ein Datenschutzbeauftragter muss nicht bestellt werden - Der gesetzliche Vertreter des Unternehmens ist selbst verantwortlich 4g Abs. 2a BDSG

16 Der Datenschutzbeauftragte Die Bestellung des Datenschutzbeauftragten: - Die Bestellung hat schriftlich zu erfolgen - Je Unternehmen ist EIN Datenschutzbeauftragter zu bestellen Mehrfachbestellungen sind nicht zulässig - Der Datenschutzbeauftragte hat eine Staabsstelle inne und ist somit eigenverantwortlich - Interessenskonflikte sind auszuschließen Administrator, Geschäftsführer dürfen in der Regel nicht DSB sein

17 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten: - Prüffunktion (Geschäftsprozesse, IT Prozesse, Richtlinien, Verträge u.a. 11 BDSG) - Gestaltung, Prüfung und Dokumentation von Geschäftsprozessen (Verfahrensverzeichnis) - Schulung (Sensibilisierung) von Mitarbeitern - Reporting von Risiken, Optimierungen, Verstößen und weiterem - Beratung von Mitarbeitern sowie Betroffenen - Schnittstelle zu den Behörden Der DSB ist in alle Prozesse und Projekte eingebunden in denen personenbezogene Daten eine Rolle spielen. Er ist mindestens informiert -wo -wann -was geschieht!

18 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten im einzelnen: - Erstellung eines Verfahrensverzeichnisses Jeder Prozess im Unternehmen, in dem personenbezogene Daten verarbeitet werden, ist in das Verfahrensverzeichnis aufzunehmen. Das Verfahrensverzeichnis dient dem DSB um: - Schwachstellen zu analysieren - Zugriffsrechte einzusehen - Empfänger der Daten zu identifizieren - Löschfristen zu kontrollieren - Datenweitergaben zu analysieren - Festzustellen welche personenbezogenen Daten verarbeitet werden - Eine Datenweitergabe zu identifizieren Kurz die Rechtmäßigkeit der Datenverarbeitung zu bestimmen

19 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten im einzelnen: - Schulung der Mitarbeiter Jeder Mitarbeiter der mit personenbezogenen Daten in Berührung kommt, ist zu schulen. Die Schulung vermittelt grundlegendes Wissen zum Thema Datenschutz, Gesetze, den Umgang mit personenbezogenen Daten, Verhalten am Arbeitsplatz und vieles mehr.

20 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten im einzelnen: - Verpflichtung der Mitarbeiter laut 5 BDSG Jeder Mitarbeiter der mit personenbezogenen Daten in Berührung kommt, muss gemäß 5 BDSG auf das Datengeheimnis verpflichtet werden. - Die Verpflichtung erfolgt immer schriftlich. - Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort

21 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten im einzelnen: - Prüfung von Verträgen laut 11 BDSG - Auftragsdatenverarbeitung laut 11 BDSG - Vertragsgestaltung - Audit bei Auftragnehmern

22 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten im einzelnen: - Erstellung von Richtlinien (Policies) - Erstellung von klaren Richtlinien für den Umgang mit personenbezogenen Daten - Kommunikation und Durchsetzung dieser Richtlinien - Regelmäßige Kontrolle auf Aktualität

23 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten im einzelnen: - Kommunikation mit Betroffenen - Erteilung von Auskünften - Kommunikation mit Betroffenen

24 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten im einzelnen: - Kommunikation mit Behörden - Erteilung von Auskünften - Kommunikation mit Behörden - Umsetzung behördlicher Auflagen

25 Der Datenschutzbeauftragte Aufgaben des Datenschutzbeauftragten im einzelnen: - Mitwirkung bei der Umsetzung und Aufrechterhaltung der IT Sicherheit - Kontrolle der Sicherheitsmechanismen - Beratung der IT Abteilung bei Umstellungen, Anschaffungen und weiteren Themen - Umsetzung der TOM s laut 9 BDSG (TECHNISCH-ORGANISATORISCHE-MASSNAHMEN)

26 Zeit für Ihre Fragen xdsb berät Sie jederzeit gerne zu allen Themen des Datenschutzes sowie der Datensicherheit